Information Disclosure in Kaspersky Anti-Virus, Kaspersky Internet Security, Kaspersky Total Security versions up to 2019 could potentially

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• kaspersky anti-virusдо 2019 включительно
• kaspersky free anti-virusдо 2019 включительно
• kaspersky internet securityдо 2019 включительно
• kaspersky small office securityдо 6.0 включительно
• kaspersky total securityдо 2019 включительно

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Kaspersky). Не зависят от анализа CPE в NVD и обычно опережают его.

• Kaspersky Kaspersky Anti-Virus, Kaspersky Internet Security, Kaspersky Total Security

  • up to 2019затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2022-27534Kaspersky Anti-Virus products for home and Kaspersky Endpoint Security with antivirus databases released before 12 March 2022 had a bug in a
  40В плане
• CVE-2019-15687Kaspersky Anti-Virus, Kaspersky Internet Security, Kaspersky Total Security, Kaspersky Free Anti-Virus, Kaspersky Small Office Security, Kas
  26Наблюдать
• CVE-2019-15688Kaspersky Anti-Virus, Kaspersky Internet Security, Kaspersky Total Security, Kaspersky Free Anti-Virus, Kaspersky Small Office Security, Kas
  25Наблюдать
• CVE-2021-27223A denial-of-service issue existed in one of modules that was incorporated in Kaspersky Anti-Virus products for home and Kaspersky Endpoint S
  22Наблюдать
• CVE-2016-4329A local denial of service vulnerability exists in window broadcast message handling functionality of Kaspersky Anti-Virus software.
  22Наблюдать
• CVE-2019-15686Kaspersky Anti-Virus, Kaspersky Internet Security, Kaspersky Total Security, Kaspersky Free Anti-Virus, Kaspersky Small Office Security, Kas
  17Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.